刷臉進出小區，這是不少人每天都會經曆的場景。然而就在不久前，天津一位26歲的小夥顧城，因為拒絕其小區的物業将人臉識别作為小區唯一的通行驗證方式，将物業公司告上了法庭，并在二審獲得了勝訴。
天津人臉識别案
事情發生在2021年3月，當時顧城從北京搬到天津工作，在網上簽約租住了天津誠基經貿中心的一套較高價的電梯大廈。在拎包入住的當天，他從房屋中介口中得知，小區隻提供人臉識别的方式出入。
按照顧城的說法，物業公司當時隻提供了刷臉這一種方式進出小區。《新聞調查》試圖聯系顧城所住小區的物業公司，但物業公司拒絕了采訪。在入住當下，顧城雖然心生疑慮，但因為已經租下了房子，便還是在物業登記了姓名、身份證号、房屋等資訊，也拍照錄入了人臉資訊。
顧城說，雖然他不是學法律出身，但以他樸素的了解，刷臉進出小區應該遵循自願的原則。因為有不少像他這樣不願意刷臉的人，都是因為擔心其中的風險性。
顧城：我們普通人有些考慮得不夠完善、不夠全面，他隻是提到了友善效率，但是風險呢？也許沒有認識到。那如果我這張臉洩露了以後，如果别人去僞造了，去用我這張臉做了一些壞事，或者是造成了一些财産的損失呢？我沒有這個必要去承擔這個風險。
顧城的擔心其實不無道理。作為人工智能的重要應用，近年來，人臉識别逐漸滲透到人們生活的方方面面，給人們的生活帶來了便利。但同時，人臉識别技術所帶來的個人資訊保護問題也日益凸顯。一些經營者濫用人臉識别技術侵害個人合法權益的事件頻發，引發社會公衆的普遍關注和擔憂。
根據媒體報道，有部分線上平台或者應用軟體強制索取使用者的人臉資訊，還有的賣家在社交平台和網站公開售賣人臉識别視訊、買賣人臉資訊等。此外，因人臉資訊等身份資訊洩露導緻“被貸款”“被詐騙”和隐私權、名譽權被侵害等問題也多有發生。甚至還有一些犯罪分子利用非法擷取的身份證照片等個人資訊制作成動态視訊，破解人臉識别驗證程式，實施竊取财産等犯罪行為。
曾經參與《民法典》立法論證工作的中國人民大學法學院教授石佳友，一直以來都非常關注人臉識别的相關法律問題。他指出，人臉資訊屬于敏感個人資訊中的生物識别資訊，具有唯一性和不可更改性，一旦洩露将對個人的人身和财産安全造成極大危害，甚至還有可能威脅公共安全。
中國人民大學法學院教授 石佳友：這種風險主要在于它具有唯一性和不可更改性，比如個人資訊裡，手機電話可以随便改，但是一般人臉是很難更改的。這就決定了它一旦被洩露、一旦被盜用，那後果是很難設想的。比如未成年人、兒童可能遭到綁架，國外已經有這樣的教訓。你的人臉資訊如果被黑客竊取，他就有可能進入到你的賬戶、網上銀行，最後盜取你的資金。這裡可能對他的财産、對他的人身，可能都會造成影響。
公衆對于人臉識别技術濫用的擔心不斷增加，強化人臉資訊保護的呼聲也日益高漲。2021年8月1日，《最高人民法院關于審理使用人臉識别技術處理個人資訊相關民事案件适用法律若幹問題的規定》生效施行。作為一部用于解決人臉識别資訊民事糾紛案件的司法解釋，對處理人臉識别資訊進行了有力的規範，其中不僅涉及飯店、商場、銀行、車站、機場、體育場館、娛樂場所等經營場所、公共場所，也專門提到，“物業服務企業或者其他建築物管理人以人臉識别作為業主或者物業使用人出入物業服務區域的唯一驗證方式，不同意的業主或者物業使用人請求其提供其他合理驗證方式的，人民法院依法予以支援。”這一司法解釋的出台，也讓顧城決定走法律途徑解決問題。
就此，顧城和他的代理律師葛向孜，将蘭州城關物業服務集團有限公司天津分公司告上了法庭。2021年9月3日，天津市和平區人民法院對顧城的起訴立案，并于2021年11月一審開庭。但由于案由定為隐私權糾紛，法院審理認為，顧城提供的相關證據，不能證明物業公司侵犯了他的隐私權。據此，一審法院駁回了顧城的全部訴訟請求。
天津人臉識别案原告代理律師 葛向孜：用隐私權糾紛去說這個案件，确實是很不恰當的，也不可能從隐私權的角度去勝訴。是以進入上訴階段，我們的主張就是一審法院适用法律錯誤、案由選擇錯誤，因為它适用的是隐私權相關的法律，我們認為它應該就是适用和個人資訊保護相關的法律才可以。由此的話，一審法院在确定舉證責任的時候也配置設定錯誤，因為按照隐私權的思路的話，它把舉證責任就給到了原告顧城這一邊；按照個人資訊保護糾紛，它就需要被告物業公司去證明自己處理個人資訊的時候沒有過錯。
2021年11月，因不服一審判決，顧城上訴至天津市第一中級人民法院。二審法院糾正了案由，認為本案是因處理個人資訊引發的糾紛，案由應确定為個人資訊保護糾紛。二審法院認為，根據《最高人民法院關于審理使用人臉識别技術處理個人資訊相關民事案件适用法律若幹問題的規定》第10條規定，如果有業主或者物業使用人不同意采取人臉識别驗證方式而請求物業公司提供其他合理驗證方式的，物業公司不能以智能化管理為由予以拒絕。顧城在辦理入住時，雖然同意物業公司提取其人臉資訊作為通行驗證方式，但其後多次就物業公司提取人臉資訊作為唯一的驗證通行方式提出異議。物業公司以人臉識别驗證方式是業主委員會同意，拒絕為顧城提供其他驗證方式的抗辯理由，與第10條規定相悖。2022年5月18日，天津市第一中級人民法院對此案二審判決，要求物業公司删除顧城的人臉資訊，并為其提供其他通行驗證方式，承擔顧城因本案訴訟支出的律師費等合理費用。
最高法關于人臉識别的司法解釋，除了在财産損失上予以被侵權人更大的支援，在舉證責任配置設定上予以資訊處理者更多的舉證責任，還明确了資訊處理者處理人臉資訊必須征得自然人或者其監護人的單獨同意；資訊處理者強迫或者變相強迫自然人同意處理其人臉資訊時同意無效等重要原則。
參與司法解釋起草論證的石佳友表示，天津人臉識别案的勝訴，很好地驗證了最高法關于人臉識别的司法解釋的适用效果，而這一案件本身，也具有标志性意義。
杭州人臉識别第一案
近幾年，大陸集中出台了幾部重要的涉及個人資訊保護的法律法規。2020年5月28日頒布的《中華人民共和國民法典》中，明确規定了哪些資訊屬于個人資訊，同時規定了處理個人資訊應當遵循合法、正當、必要的原則。2021年8月1日，《最高人民法院關于審理使用人臉識别技術處理個人資訊相關民事案件适用法律若幹問題的規定》生效施行，為因處理人臉識别資訊引起的民事糾紛案件提供了審判指引。2021年11月1日，《中華人民共和國個人資訊保護法》正式生效實施，明确了個人資訊處理規則、個人在個人資訊處理活動中的權利、個人資訊處理者的義務等内容，并設專節嚴格規範包括人臉識别資訊在内的敏感個人資訊的處理規則。可以說這兩部法律和一部司法解釋，形成了對于人臉識别資訊綜合、全面的法律保護體系。
司法上的進步，離不開典型案件的推動，在人臉識别領域，2019年發生在杭州的“人臉識别第一案”，就是一起對于司法程序具有重要意義的标志性案件。因為不願意使用人臉識别，浙江理工大學法政學院特聘副教授、法學博士出身的郭兵将杭州野生動物世界告上了法庭。案件源于郭兵2019年4月在杭州野生動物世界辦理年卡的消費經曆。
浙江理工大學法政學院特聘副教授 郭兵：我們去辦卡的時候，要錄指紋，我就說你們怎麼能強制遊客錄指紋？他說我們這邊入園，必須年卡跟指紋同時錄入，你才能進去。2019年7月份，杭州野生動物世界發了短信，說我們要進行人臉識别的更新，然後要盡快去人臉識别注冊。2019年10月17日，它就正式發短信說，如果你不進行人臉識别注冊，就不能用了。
由于年卡使用者的入園方式由指紋識别變更為了人臉識别，而郭兵認為，人臉資訊屬于敏感個人資訊，不同意接受人臉識别。雙方就入園方式、退卡等相關事宜協商未果，郭兵将杭州野生動物世界告上了法庭。2020年11月20日，杭州市富陽區人民法院作出一審判決，判令杭州野生動物世界賠償郭兵合同利益損失及交通費共計1038元，并删除郭兵辦理指紋年卡時送出的包括照片在内的面部特征資訊；駁回郭兵要求确認店堂告示、短信通知中相關内容無效等其他訴訟請求。郭兵與野生動物世界均表示不服，分别向杭州中院提起上訴。
2020年12月11日，杭州中院立案受理該案，并于同年12月29日公開開庭審理。2021年4月9日，該案二審宣判。二審法院認為，指紋識别店堂告示對雙方具有限制力，但人臉識别店堂告示對郭兵不發生效力。郭兵辦理指紋年卡時選擇權并未受到限制或侵害。野生動物世界的行為不構成欺詐，但野生動物世界單方變更入園方式構成違約。野生動物世界欲利用收集的照片擴大資訊處理範圍，超出事前收集目的，表明其存在侵害郭兵面部特征資訊之人格利益的可能與危險，應當删除郭兵辦卡時送出的包括照片在内的面部特征資訊。鑒于野生動物世界停止使用指紋識别閘機，緻使原約定的入園服務方式無法實作，故二審在原判決的基礎上增判野生動物世界删除郭兵辦理指紋年卡時送出的指紋識别資訊。
中國人民大學法學院教授 石佳友：這個案件發生當時，《民法典》還沒有正式生效實施，也沒有司法解釋，更沒有《個人資訊保護法》。是以法院當時可能隻能适用《消費者權益保護法》《合同法》，作出這樣一個判決，主要按照《合同法》架構，認為動物園有一個違約行為，單方面變更了合同的規定，是以是從違約這個角度去否定的。
目前，在《個人資訊保護法》中明确了敏感個人資訊的處理規則，其中包括：隻有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人資訊處理者方可處理敏感個人資訊；處理敏感個人資訊應當取得個人的單獨同意；個人資訊處理者處理敏感個人資訊的，除了向個人告知敏感個人資訊的處理目的、處理方式、資訊種類、儲存期限等内容外，還應當向個人告知處理敏感個人資訊的必要性以及對個人權益的影響；個人資訊處理者處理敏感個人資訊，應當事前進行個人資訊保護影響評估，評估内容包括個人資訊的處理目的、處理方式等是否合法、正當、必要；對個人權益的影響及安全風險；所采取的保護措施是否合法、有效并與風險程度相适應。
從杭州“人臉識别第一案”到天津人臉識别案，國家在個人資訊立法上的程序，也能從這兩個案件中充分展現出來。
新的難點
顧城在2022年7月發給記者的手機視訊顯示，他依然能夠通過刷臉進入小區，這樣的情況讓顧城懷疑，物業是否真的删除了他的人臉資訊？此時，距離2022年5月18日天津市第一中級人民法院下達二審判決已經過去了近兩個月。二審法院明确判令，物業公司于判決生效之日起五日内删除顧城的人臉資訊并為其提供其他通行驗證方式。
對于删除權，《個人資訊保護法》第四十七條明确規定：“有下列情形之一的，個人資訊處理者應當主動删除個人資訊，個人資訊處理者未删除的，個人有權請求删除。”因為有明确的違法事實，顧城可以通過法律手段維護其删除權的實作。但對于法律中提到的其他情形，比如處理目的已實作等情況，個人資訊處理者是否能夠做到及時删除呢？
2020年，在對“人臉識别第一案”的采訪過程中，為杭州野生動物世界提供技術支援的深圳鼎遊資訊技術有限公司董事長丁東表示，他們是一家專門為旅遊機構提供資訊化産品的公司。采訪中，他說明了公司對于人臉資訊存儲和删除的方式。
因為人臉識别需要比對，目前大多數企業都會采取本地存儲的方式。按照丁東的說法，他們與使用方之間的約定是，人臉資訊存儲在使用方的伺服器，并根據票的有效期實施自動删除。2022年，我們再次采訪了鼎遊公司，技術總監李進表示，目前他們對于删除的管理方式還和兩年前一緻，但他透露，行業内對于人臉資訊是否删除，其實做法不一。
在對企業的采訪中我們側面了解到，行業内沒有嚴格執行删除的情況不在少數。郭兵的代理律師麻策向我們談到，《個人資訊保護法》其實在很多方面都作出了更全面更完善的規定，法律的變化也明顯展現出國家對于個人資訊保護的力度越來越強。但目前的難點在于，如何能讓法律真正得到貫徹執行。
人臉識别第一案原告代理律師麻策認為，來自主管機構的監管，是保障法律得以貫徹的重要方面。按照《個人資訊保護法》的規定，目前是由國家網信部門負責統籌協調個人資訊保護工作和相關監督管理工作，國務院有關部門在各自職責範圍内負責個人資訊保護和監督管理工作，它們都是履行個人資訊保護職責的部門。
法學專家石佳友認為，按照目前的管理體制，監管部門可以側重于加強合規管理，進而達到監管的目的。通過監督檢查發現是否合規，那麼不合規的情況又如何處理呢？律師和專家都談到，《個人資訊保護法》設立了專門的章節明确了“法律責任”，相關監管部門可以根據法律規定，加大執法力度。除了加強合規管理、加大執法監督，顧城的代理律師葛向孜認為，監管層面還可以配合相關法律，再出台一些更細化的規範或規則。
在《個人資訊保護法》“個人資訊處理者的義務”章節中，有一些諸如“對個人資訊實行分類管理”“采取相應的加密、去辨別化等安全技術措施”等規定，但在技術公司看來，他們還需要更細化的标準。
深圳鼎遊資訊技術有限公司技術總監 李進：我認為要細化。比如人臉隻存儲特征值，而不存照片本身了，這樣的話即便這個伺服器被盜，或者因為某種原因被洩露，它是還原不出照片來了。這個都可以作很強行的規定，法律規定就必須存特征值不能存照片。
如何能讓法律真正得到貫徹執行，讓法律的進步真正惠及實踐，是目前人臉識别領域的一大難點。而另一方面，雖然人們有了更多的法律武器來維護自身的合法權益，但個人的維權成本高、維權難度大，也是一大難題。郭兵也一直在關注天津人臉識别案的進展，他認為，雖然法院支援了顧城的律師費等财産損失，但作為個體的維權動力依然是不足的。
目前，個人資訊的公益訴訟已經在相關法律中得以明确。《個人資訊保護法》第七十條規定，“個人資訊處理者違反本法規定處理個人資訊，侵害衆多個人的權益的，人民檢察院、法律規定的消費者組織和由國家網信部門确定的組織可以依法向人民法院提起訴訟。”《最高人民法院關于審理使用人臉識别技術處理個人資訊相關民事案件适用法律若幹問題的規定》第十四條規定，“資訊處理者處理人臉資訊的行為符合相關法律關于民事公益訴訟的相關規定，法律規定的機關和有關組織提起民事公益訴訟的，人民法院應予受理。”
近期，在杭州、廣州都已經出現了涉及人臉識别的公益訴訟。公益訴訟逐漸走向實踐，但其中的挑戰與難度，也是可以想象的。
中國人民大學法學院教授 石佳友：完全可以想象這裡有難度，特别是公益訴訟，公益訴訟往往要證明，第一，有衆多的受害者。第二，确實要确定有這個侵權的事實，要有非常确鑿的證據。它還要去證明損害，它往往會主張一個具體的損害金額。是以我覺得從訴訟的準備的專業性角度來講，要求比較高。中國個人資訊保護發展非常快，成就也非常顯著，《個人資訊保護法》生效實施以來，效果還是非常好，這是社會進步的一個重要的表現。
本文來源：澎湃新聞